Welches Tool sollte in die Build-Pipeline integriert werden, um zu erkennen, wann gängige Open-Source-Bibliotheken in die Codebasis eingeführt werden?

WhiteSource (jetzt Mend) ist ein Software Composition Analysis (SCA)-Tool, das speziell dafür entwickelt wurde, Open-Source-Komponenten in Ihrer Codebasis zu identifizieren, deren Lizenzen zu verwalten und Sicherheitslücken zu erkennen. Die Integration in eine Build-Pipeline ermöglicht eine automatische Überprüfung bei jedem Build. "Keine Anpassung erforderlich" ist falsch, da ein spezielles Tool benötigt wird. SourceGear Vault ist ein Versionskontrollsystem, kein SCA-Tool. OWASP ZAP (Zed Attack Proxy) ist ein dynamischer Anwendungssicherheitstester (DAST), der zur Erkennung von Schwachstellen in laufenden Anwendungen verwendet wird, nicht zur Analyse von Open-Source-Komponenten im Code.